azure - OMS 和 Azure Log Analytics 中的查找表

Question

在 Azure Log Analytics 中，是否有类似于 Splunk 的查找表的内容？( https://docs.splunk.com/Documentation/SplunkCloud/6.6.3/SearchReference/Lookup )

基本上，这是一种将值映射到其他值的方法，即:

> value1 => value11 
> value2 => value22

Answer 1

意识到这件事已经过去 4 个月了，但我遇到了类似的问题，也许可以帮助别人继续前进。您必须定义一个数据表，然后将其连接起来以用作查找表。文档示例:

    let DimTable = datatable(EventID:int, eventName:string)
  [
    4658, "The handle to an object was closed",
    4656, "A handle to an object was requested",
    4690, "An attempt was made to duplicate a handle to an object",
    4663, "An attempt was made to access an object",
    5061, "Cryptographic operation",
    5058, "Key file operation"
  ];
SecurityEvent
| join kind = inner
 DimTable on EventID
| summarize count() by eventName

然后呈现如下 output

查看本文档的查找表部分:https://docs.loganalytics.io/docs/Learn/Tutorials/Joins---cross-analysis 。在找到这个引用资料之前，我完成了大部分工作:/。

您还可以创建数据表，然后保存该搜索并加入已保存的搜索，而无需在每个查询中定义表。